En un mundo perfectamente equilibrado, la disponibilidad y la seguridad tendrían la misma importancia. Sin duda, a los usuarios de las aplicaciones les preocupa tanto la seguridad de sus datos como poder acceder a ellos.
Como todos sabemos muy bien, este no es un mundo perfectamente equilibrado. Es igual de probable —o quizá más— que los usuarios eliminen una aplicación y abandonen una marca por problemas de disponibilidad y rendimiento que por una filtración de datos.
Sí, siguen armando un gran revuelo cuando se produce una brecha de seguridad. Pero, por lo general, a la empresa le cuesta dinero, no usuarios fieles.
Esta dicotomía se refleja en las prioridades que nos comunicaron los profesionales de la seguridad en el Informe de protección de aplicaciones de F5 Labs de 2018. Entre los CISO, la principal preocupación no es, como cabría suponer por su cargo, la seguridad. En un estudio anterior centrado en los CISO, «La evolución del papel de los CISO y su importancia para la empresa», la mayoría de los CISO afirmaron que su principal preocupación es la disponibilidad y que evitar el tiempo de inactividad de las aplicaciones es la misión principal de sus organizaciones.
Esto también quedó reflejado en nuestro próximo informe sobre el estado de la automatización de redes. Al preguntarles qué métricas se utilizan para medir el éxito individual y del equipo, la «disponibilidad de la red» encabezó la lista para el 59 % de los profesionales de la seguridad, seguida de cerca por la «disponibilidad de las aplicaciones», mencionada por casi la mitad (49 %) de los encuestados del ámbito de la seguridad.
El término «disponibilidad» engloba también el rendimiento. La velocidad se considera un componente de la disponibilidad, y a menudo se sacrifica la seguridad a la hora de detectar los ataques que logran su objetivo. Dado que la inspección de datos, fundamental para detectar código y datos maliciosos, resulta costosa e introduce latencia, esta práctica suele considerarse contraproducente.
El énfasis en la disponibilidad favorece a los atacantes. Conscientes de que sus objetivos priorizan la disponibilidad, el informe de F5 Labs señala: «los atacantes también programan ataques DDoS como maniobras de distracción para encubrir ataques de robo de datos y fraude que se llevan a cabo simultáneamente mientras los administradores están distraídos». Esta técnica, conocida como «cortina de humo», no es nueva. Como señalamos en 2017, las organizaciones sufren cada vez más ataques DDoS volumétricos destinados a ocultar las verdaderas intenciones de los atacantes.
Y los consumidores están pagando las consecuencias.
La disponibilidad como distracción
Cada vez más, los atacantes aprovechan nuestra atención a la disponibilidad como maniobra de distracción. Esto resulta preocupante, ya que están intensificando sus tácticas y empleando todas las herramientas a su alcance para encontrar una vía a través de las redes, la infraestructura y las aplicaciones hasta llegar al tesoro que se oculta tras sus puertas: los datos. La cuestión es que los atacantes no solo se sirven de los usuarios y los sistemas que se interponen entre ellos y su objetivo. Hoy en día, también utilizan los propios datos.
En el Informe de protección de aplicaciones de 2018 de F5 Labs, los investigadores analizaron datos sobre brechas de seguridad y ataques procedentes de diversas fuentes. Los resultados no fueron inesperados, pero sí inquietantes.
En el primer trimestre de 2018, el 70 % de los registros de brechas de seguridad analizados señalaban los ataques de inyección web como su causa raíz. No resulta sorprendente si ha seguido el tema. Durante la última década, el 23 % de todos los registros de brechas de seguridad indican que el vector de ataque inicial fue una inyección SQL. Está tan extendida que ocupó el primer puesto del OWASP Top 10 en 2017.
De hecho, casi la mitad (46 %) de los ataques contra aplicaciones web basadas en PHP fueron ataques de inyección. Los profesionales de la seguridad deben tener en cuenta que PHP está en todas partes. Builtwith.com, que realiza un seguimiento de las tecnologías utilizadas para crear las aplicaciones que conforman Internet, señala que el 43 % del millón de sitios web más visitados están desarrollados con PHP. Estados Unidos alberga casi dieciocho millones de estos sitios, y cerca de la mitad (47 %) de los diez mil más visitados utilizan este lenguaje.
Se trata de un amplio abanico en el que los atacantes pueden elegir —y, de hecho, eligen— sus objetivos. Según el informe, de las más de 21.000 redes únicas desde las que se llevaron a cabo ataques, el 58 % tuvo como objetivo sitios basados en PHP.
Los datos son un objetivo cada vez más atractivo (y rentable)
Antes de culpar al lenguaje utilizado, es importante señalar que los investigadores de F5 Labs también recomiendan estar atentos a los ataques de deserialización. Estos ataques no son específicos de ningún lenguaje y se centran en los propios datos. Según el informe:
«La serialización se produce cuando las aplicaciones convierten sus datos a un formato (normalmente binario) para transmitirlos, generalmente del servidor al navegador web, del navegador web al servidor o de una máquina a otra mediante API».
Al insertar comandos o manipular parámetros en el flujo de datos, los ataques suelen llegar directamente a la aplicación sin ser filtrados. Las aplicaciones —o los componentes de estas— que no filtran ni depuran los datos pueden quedar expuestas a vulnerabilidades, como ocurrió con Apache Struts. Los ataques de deserialización se consideran una amenaza lo bastante grave como para que OWASP los incluyera el año pasado en su lista de las 10 principales amenazas. Dado que 148 millones de estadounidenses y 15,2 millones de ciudadanos del Reino Unido se vieron afectados por una vulnerabilidad de este tipo, los ataques de deserialización merecen más atención de la que reciben, pese a su uso relativamente escaso en entornos reales.
Lo revelador de estas dos amenazas es que comparten un mismo denominador: tampoco se puede confiar en los datos. Tanto si se modifican intencionadamente como si se infiltran aprovechando solicitudes legítimas, los ataques se ocultan cada vez más en el flujo de datos.
Pero, para evitar centrarnos demasiado en la aplicación y sus datos, no debemos olvidar que el resto de la pila es igual de vulnerable y también puede ser objeto de ataques. La persistencia en el uso de sistemas de cifrado débiles, como los obsoletos SSL y TLS 1.0, resulta frustrante. Estos métodos se han retirado porque presentan numerosas vulnerabilidades y facilitan que los atacantes las aprovechen para obtener acceso.
Como señala el informe: «Cada año se dan a conocer aproximadamente dos nuevas vulnerabilidades con nombre propio en el protocolo TLS. Sin embargo, a excepción de Heartbleed, la mayoría de estas vulnerabilidades son de carácter académico y rara vez se aprovechan en una brecha de seguridad real. Uno de los casos más graves afectó a Community Health Systems (CHS) en 2014. CHS perdió casi cinco millones de números de la Seguridad Social cuando un atacante aprovechó la vulnerabilidad Heartbleed».
Amenaza baja, riesgo alto. Nadie quiere ser ese caso excepcional, pero, tarde o temprano, alguien lo es.
La seguridad y la disponibilidad deben tener el mismo peso en la toma de decisiones
La realidad es que estamos entrando en una era en la que ya no basta con no confiar en nadie. Tenemos que profundizar en la pila para detectar ataques diseñados para desactivar y eludir las medidas de protección implementadas para salvaguardar las aplicaciones y los datos. Debemos concebir la protección de las aplicaciones como un proceso continuo que evalúa constantemente el estado de toda la pila de aplicaciones, desde la red hasta la infraestructura y los servicios. Eso significa valorar la seguridad de nuestros datos tanto como la velocidad con la que los entregamos.
Debemos recordar la regla cero de la seguridad: nunca hay que confiar en la información introducida por el usuario. También debemos recordar que dicha información incluye datos. Esto implica reforzar la seguridad para inspeccionar los datos entrantes y buscar formas de mitigar el posible impacto en el rendimiento y la disponibilidad.
Significa reconocer que, a veces, la disponibilidad no es más que una distracción y que no podemos permitirnos caer en la trampa. La seguridad merece —y necesita— estar al mismo nivel que la disponibilidad y el rendimiento. La prioridad de un CISO debe ser la seguridad, no la disponibilidad.
Porque, si el CISO no va a dar la cara por la seguridad, ¿quién lo hará?
Puede encontrar más información y análisis en el Informe de protección de aplicaciones de 2018 de F5 Labs, que incluye recomendaciones útiles sobre los ataques y las medidas de protección existentes en toda la pila de aplicaciones.
Sobre el autor
Lori MacVittie es ingeniera distinguida y evangelista jefe en la Oficina del CTO de F5, y cuenta con una amplia experiencia en entrega de aplicaciones, estrategia de automatización e infraestructura. Es conocida por convertir la complejidad en claridad, ya sea definiendo mecanismos de protección para agentes de IA, analizando arquitecturas multinube frágiles o explorando los límites de los sistemas escalables. Aporta más de treinta años de experiencia en el sector en desarrollo de aplicaciones, arquitectura de TI y operaciones de redes y sistemas. Antes de incorporarse a F5, fue una galardonada editora de tecnología. MacVittie posee un máster en Informática y es una autora prolífica cuyas publicaciones abarcan la seguridad, la nube y la arquitectura empresarial. También es una apasionada de los juegos de mesa y los videojuegos, y expresa sin complejos sus firmes opiniones sobre el queso.
Más artículos de Lori Mac VittieArtículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.